Microsoft-Sicherheitsempfehlung CVE-2026-70159 – ASP.NET Core Denial-of-Service-Schwachstelle
Die Originalmeldung wurde seit der Erstellung dieser Erklärung geändert. Prüfen Sie die aktuellen technischen Daten und die Originalmeldung unten.
Zusammenfassung
Microsoft hat diese Sicherheitsempfehlung herausgegeben, um über eine Sicherheitslücke in Microsoft.AspNetCore.SignalR.Common und Microsoft.AspNetCore.SignalR.Core zu informieren. Die Mitteilung bietet Entwicklern Unterstützung bei der Aktualisierung ihrer Anwendungen zur Behebung der Schwachstelle.
SignalR Stateful-Reconnect-Clients können Übertragungen (Broadcasts) durch MessageBuffer.ResendAsync-Gegendruck (Backpressure) unbegrenzt blockieren und zugehörige Ressourcen belegen.
Ankündigung
Die offizielle Ankündigung zu diesem Thema ist unter https://github.com/dotnet/announcements/issues/452 verfügbar.
CVSS-Details
- Version: 3.1
- Schweregrad: Hoch
- Score: 7.5
- Vektor:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H - Schwachstelle: CWE-770 (Zuweisung von Ressourcen ohne Grenzwerte oder Drosselung)
Betroffene Plattformen
- Betriebssysteme: Windows, Linux, macOS
- Architekturen: Alle
<a name="affected-packages"></a>Betroffene Pakete
Die Sicherheitslücke betrifft Microsoft .NET-Projekte, die die nachfolgend aufgeführten betroffenen Paketversionen verwenden.
| Paketname | Betroffene Version | Korrigierte Version |
|---|---|---|
| Microsoft.AspNetCore.SignalR.Common) | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.AspNetCore.SignalR.Core) | >= 1.0.0, <= 1.2.13 | 1.2.14 |
| Microsoft.AspNetCore.SignalR.Common) | >= 11.0.0-preview.5, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| Microsoft.AspNetCore.SignalR.Common) | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.AspNetCore.SignalR.Common) | >= 9.0.0, <= 9.0.20 | 9.0.21 |
Häufig gestellte Fragen (FAQ)
<a name="how-affected"></a>Woran erkenne ich, ob ich betroffen bin?
Wenn Sie eines der unter Betroffene Pakete aufgeführten Pakete verwenden, sind Sie von dieser Schwachstelle betroffen.
Weitere Informationen
Melden von Sicherheitsproblemen
Wenn Sie ein potenzielles Sicherheitsproblem in einer unterstützten Version von .NET festgestellt haben, melden Sie dies bitte dem Microsoft Security Response Center (MSRC) über das MSRC Researcher Portal.). Weitere Informationen finden Sie in den MSRC FAQ zum Melden von Problemen.).
Sicherheitsmeldungen an das MSRC qualifizieren sich unter Umständen für das Microsoft .NET Bounty Program. Einzelheiten einschließlich der Bedingungen finden sich unter https://aka.ms/corebounty..
Support
Fragen zu diesem Problem können auf GitHub in der .NET GitHub-Organisation gestellt werden. Die Haupt-Repositories befinden sich unter https://github.com/dotnet/runtime.. Das Announcements-Repository (https://github.com/dotnet/Announcements)) enthält diese Meldung als Issue mit einem Link zu einem Diskussions-Thread, in dem Fragen gestellt werden können.
Haftungsausschluss
Die in dieser Mitteilung bereitgestellten Informationen werden ohne Gewähr („as is“) zur Verfügung gestellt. Microsoft schließt jegliche Gewährleistung aus, sei sie ausdrücklich oder stillschweigend, einschließlich der Gewährleistung für Handelsüblichkeit und Eignung für einen bestimmten Zweck. In keinem Fall haften die Microsoft Corporation oder ihre Lieferanten für Schäden gleich welcher Art, einschließlich direkter, indirekter, zufälliger oder Folgeschäden, entgangenem Gewinn oder besonderer Schäden, selbst wenn Microsoft oder deren Lieferanten auf die Möglichkeit solcher Schäden hingewiesen wurden. Einige Rechtsordnungen gestatten den Ausschluss oder die Beschränkung der Haftung für Folge- oder Zufallsschäden nicht, sodass die vorstehende Beschränkung möglicherweise nicht zutrifft.
Externe Links
Danksagungen
- nono
- Vincent55 Yang (https://vincent55.tw/))
Überarbeitungen
V1.0 (10/13/2026): Empfehlung veröffentlicht.
Was zu tun ist
<a name="how-fix"></a>Wie behebe ich das Problem?
-
Installieren Sie zur Behebung des Problems die neueste Version von .NET. Wenn Sie mindestens ein .NET SDK über Visual Studio installiert haben, werden Sie von Visual Studio aufgefordert, Visual Studio zu aktualisieren, wodurch auch die .NET SDKs aktualisiert werden.
-
Verweist Ihre Anwendung auf das verwundbare Paket, aktualisieren Sie die Paketreferenz auf die gepatchte Version. Sie können die installierten Versionen mit dem Befehl
dotnet --infoauflisten.
Starten Sie nach der Installation der aktualisierten Laufzeitumgebung oder des SDKs Ihre Anwendungen neu, damit das Update wirksam wird.
Zusätzlich gilt: Wenn Sie eigenständige Anwendungen (self-contained applications)) bereitgestellt haben, die auf eine der betroffenen Versionen abzielen, sind auch diese Anwendungen verwundbar und müssen neu kompiliert sowie neu bereitgestellt werden.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| .NET (NuGet) | Microsoft.AspNetCore.SignalR.Common | >= 10.0.0, < 10.0.13, >= 11.0.0-preview.5, < 11.0.0-rc.2, >= 8.0.0, < 8.0.32, >= 9.0.0, < 9.0.21 | 10.0.13, 11.0.0-rc.2, 8.0.32, 9.0.21 |
Verweise
- https://github.com/dotnet/aspnetcore/security/advisories/GHSA-334f-vvp4-7g6p
- https://github.com/dotnet/announcements/issues/452
- https://github.com/dotnet/aspnetcore
- https://github.com/dotnet/aspnetcore/discussions/69792
- https://nvd.nist.gov/vuln/detail/CVE-2026-70159
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70159
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Schwäche (CWE)
CWE-770- Plattform
- .NET (NuGet)
- Paket
Microsoft.AspNetCore.SignalR.Common- Veröffentlicht
- 13.10.2026
- Aktualisiert
- 19.10.2026 19:17
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-334f-vvp4-7g6p - CC BY 4.0
Schwachstellenhistorie: Microsoft.AspNetCore.SignalR.Common
Alle veröffentlichten Schwachstellen dieses Pakets (.NET (NuGet)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
Dies ist die einzige bekannte Schwachstelle dieses Pakets.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.